漏洞曝光引发安全担忧

科技媒体 Ars, 在8月18日的时候, 发布了一篇博文, 该博文揭露了微软 Copilot 所存在的, 一个严重的安全漏洞。此漏洞能够允许攻击者, 通过构造特殊的链接, 绕过用户的确认环节, 从而直接窃取敏感信息。

安全公司的研究人员发觉, 漏洞的关键之处在于?=1参数与?q=None参数共同搭配运用。每当用户去敲击那带有恶意性质的链接时, Copilot便会于已然完成登录操作的浏览器会话里面自行开展命令的执行动作, 全然无需用户展开任何予以确认的行动。

攻击原理简单粗暴

Copilot具备支持经URL来接收提示词的能力, 此功能的初衷是给用户使用提供便利。可是研究团队察觉到, URL的基础部分能够使AI助手开启诸如Gmail之类的应用, 而后续的参数能够支配助手去执行特定的任务。

https://copilot.microsoft.com/?q=&autorun=1

参数为?=1 时, 会触发自动执行模式?q=里的提示词, 无需任何用户手势便能够运行, 这表明攻击者只要制作一个包含恶意参数的链接, 就可远程控制用户的AI助手去执行危险操作。

五步攻击链完整解析

研究人员细致地梳理了那完整无缺的攻击链, 其总共涵盖五个至关重要的步骤。第一步是制作出含有恶意参数的链接, 借助电子邮件、聊天消息或者钓鱼页面发送给受害者。第二步是受害者点击该链接, 浏览器于已登录的会话之中加载Copilot。

在第三步里, Copilot会依据提示词之中的命令自行执行, 去搜索收件箱, 进而提取发件人邮箱地址。第四步是从事把获得到的数据转变成base64编码格式的操作。最后一步是自动开启攻击者所控制的服务器地址, 并发送窃取而来的数据。

数据窃取能力惊人

https://webhook.site/75aabb18-9bcf-4383-9e29-349fbc4c40e8/SUPPORT

科研团队构思出好些打击情形, 当中有一个提示语规定Copilot查找收纳箱, 寻觅那最刚收到的邮件, 单把发送者的电子邮箱位置分离出来, 然后将成果存进变数里, 接着制造全新的URL, 再施行汇总指令。

另有一条提示词更为危险, 它是让Copilot在收件箱里搜索密码以及其他凭据。一旦发现相关秘密, 助手便会将这些敏感信息发送至攻击者可控的服务器。为把数据窃取行为隐匿起来, 外传的内容会先被转换为base64编码格式。

普通用户面临高风险

这个漏洞所产生致使威胁涉及地域领域极为宽泛, 差不多全部运用微软Copilot且已然登录诸如Gmail这般邮箱服务的用户均具备可能性遭受威胁, 攻击者不须知晓用户的登录密码, 仅仅只需令用户点按一个链接便可达成。

传播恶意链接存在多种方式, 电子邮件是其中最为常见的传播载体, 攻击者会将其伪装成重要通知或者紧急事务, 聊天消息、社交媒体私信以及二维码同样是常用的传播渠道, 倘若用户在毫无察觉的情况下进行点击, 便极有可能沦为受害者。

如何防范这类攻击

用户理应始终处于警惕之中, 切不可去点击来源不清楚的链接。尤其是那些宣称是来自Copilot或者别的什么微软服务的链接哩, 千万得仔细核实一下发送者身份。检查URL当中那参数同样不失为一种具有效力的手段。

要是发觉链接里头含有诸如?=1或者?q=这般的特别参数, 那就应当马上停止点击, 且报告给相关的安全团队。与此同时, 建议时常清理浏览器的登录会话, 防止一贯维持在已登录的状态下。

平日里, 你会不会去点击那源于邮件或是社交平台之 Copilot 链接? 你会以怎样的方式去妥善保护自身账号安全? 欣然欢迎于评论区域分享你来看法。